如果你管理著cPanel或WHM服務(wù)器，這十天過(guò)得不太平。

5月8日，cPanel發(fā)布了今年第二個(gè)緊急安全補(bǔ)丁。距離上次補(bǔ)丁僅隔十天——那次補(bǔ)丁修復(fù)的CVE-2026-41940認(rèn)證繞過(guò)漏洞，已被用于入侵4.4萬(wàn)臺(tái)Web托管服務(wù)器并部署勒索軟件。

新補(bǔ)丁一口氣修了三個(gè)漏洞：CVE-2026-29201、CVE-2026-29202、CVE-2026-29203。其中兩個(gè)CVSS評(píng)分8.8，屬于高危級(jí)別。

兩周內(nèi)兩次緊急補(bǔ)丁，這在cPanel歷史上極不尋常。時(shí)間線再清楚不過(guò)：勒索攻擊觸發(fā)了深度代碼審計(jì)，而審計(jì)又挖出了更多問(wèn)題。

什么是TSR？

cPanel采用"技術(shù)安全發(fā)布"（Technical Security Release）流程處理安全補(bǔ)丁。公司會(huì)提前通知注冊(cè)客戶(hù)預(yù)留更新窗口，CVE編號(hào)通過(guò)MITRE預(yù)留，但技術(shù)細(xì)節(jié)嚴(yán)格保密到補(bǔ)丁上線那一刻——防止修復(fù)前被利用。

5月7日，WebPros向客戶(hù)發(fā)送了第二封TSR預(yù)披露郵件。補(bǔ)丁于次日美東時(shí)間中午12點(diǎn)正式發(fā)布。

三個(gè)漏洞拆解

CVE-2026-29201：任意文件讀?。–VSS 4.3）

問(wèn)題出在feature::LOADFEATUREFILE adminbin調(diào)用的文件名輸入驗(yàn)證不足。已認(rèn)證攻擊者可操控功能文件名參數(shù)，讀取本不該訪問(wèn)的服務(wù)器文件。

這不會(huì)直接獲得root權(quán)限，但讀取到的配置文件、憑據(jù)、內(nèi)部路徑可用于策劃后續(xù)攻擊。評(píng)級(jí)為"中危"，但在當(dāng)前威脅環(huán)境下仍需立即修補(bǔ)。

CVE-2026-29202：任意Perl代碼執(zhí)行（CVSS 8.8）

create_user API的plugin參數(shù)輸入驗(yàn)證不足，允許已認(rèn)證賬戶(hù)以系統(tǒng)用戶(hù)身份執(zhí)行任意Perl代碼。

這是三個(gè)漏洞中最危險(xiǎn)的一個(gè)。在共享主機(jī)環(huán)境中，任何賬戶(hù)持有者都能通過(guò)該API注入Perl代碼。cPanel上下文中的Perl代碼擁有顯著的系統(tǒng)級(jí)訪問(wèn)權(quán)限，一個(gè)租戶(hù)可能借此影響整臺(tái)服務(wù)器。

雖然需要認(rèn)證，但共享主機(jī)上這個(gè)門(mén)檻極低——任意賬戶(hù)都滿(mǎn)足條件。

CVE-2026-29203：權(quán)限提升（CVSS 8.8）

（原文未提供詳細(xì)技術(shù)描述，此處保留編號(hào)與評(píng)分信息）

修復(fù)窗口正在收窄

4.4萬(wàn)臺(tái)服務(wù)器的教訓(xùn)就在眼前。對(duì)于托管服務(wù)商而言，這十天是連續(xù)的應(yīng)急狀態(tài)：先打第一個(gè)補(bǔ)丁，緊接著第二個(gè)。攻擊者顯然在密切關(guān)注cPanel代碼庫(kù)，而防御方必須在暴露窗口期內(nèi)完成全網(wǎng)更新。

共享主機(jī)的商業(yè)模式建立在"租戶(hù)隔離"承諾上。當(dāng)任意認(rèn)證用戶(hù)都能執(zhí)行系統(tǒng)級(jí)代碼時(shí)，這個(gè)承諾就失效了。8.8分的CVSS不是紙面數(shù)字——它是4.4萬(wàn)臺(tái)服務(wù)器被加密后，安全團(tuán)隊(duì)用真金白銀換來(lái)的認(rèn)知。